Testo dell'articoloIn aggiornamento
Materia: Privacy e dati personali / risarcimento · Riferimento: Corte di Cassazione, sezione I civile, ordinanza 8 gennaio 2019, n. 207
- Il danno da illecito trattamento dei dati personali non è «in re ipsa»: non discende in modo automatico dalla mera violazione delle regole sul trattamento.
- Il danneggiato deve allegare e provare il pregiudizio concretamente subito, anche tramite presunzioni (fatti noti da cui risalire al danno).
- Il danno non patrimoniale è risarcibile solo se supera la soglia di gravità della lesione e serietà del pregiudizio: i pregiudizi futili o le mere fastidiosità non bastano.
Il caso
Un soggetto subisce un trattamento illecito dei propri dati personali — nel contenzioso tipico, un’indebita segnalazione alla Centrale dei rischi o ad altra banca dati — e agisce per ottenere il risarcimento del danno, anche non patrimoniale. La tesi del danneggiato è che, una volta accertata l’illegittimità del trattamento, il danno sia automatico («in re ipsa»), cioè non bisognoso di prova. La difesa contesta proprio questo: senza prova del pregiudizio, nulla è dovuto.
La decisione
La Corte respinge l’idea del danno automatico. Il danno da illecito trattamento dei dati — come ogni danno non patrimoniale — non è in re ipsa: non si identifica con la lesione dell’interesse protetto, ma con le conseguenze pregiudizievoli che da quella lesione derivano in concreto. La sola violazione della disciplina sulla protezione dei dati non basta dunque a fondare la condanna risarcitoria.
Il danneggiato è tenuto ad allegare e provare il pregiudizio effettivamente patito: prova che può essere raggiunta anche per presunzioni, purché gravi, precise e concordanti, partendo da elementi di fatto concreti (la diffusione dei dati, la durata, il numero dei destinatari, la natura sensibile delle informazioni, le ricadute sulla vita di relazione). Resta inoltre fermo il filtro della gravità della lesione e della serietà del danno: sono risarcibili solo i pregiudizi che superano una soglia minima di apprezzabilità, restando escluse le conseguenze futili o i meri disagi.
La pronuncia si colloca sul terreno dell’art. 15 del Codice della privacy (D.Lgs. 196/2003), che rinvia all’art. 2050 del codice civile in tema di attività pericolose: sul piano dell’onere della prova ciò agevola il danneggiato quanto alla colpa (è il titolare a dover provare di aver adottato tutte le misure idonee), ma non lo esonera dal provare il danno e il nesso causale.
Il principio di diritto
Il danno non patrimoniale da illecito trattamento dei dati personali non è in re ipsa: la sua risarcibilità presuppone che il danneggiato alleghi e dimostri, anche per presunzioni, un pregiudizio effettivo, che superi la soglia della gravità della lesione e della serietà del danno. L’inversione dell’onere della prova ex art. 2050 c.c. riguarda la colpa, non l’esistenza del pregiudizio.
Implicazioni pratiche
Per chi agisce in giudizio il messaggio è netto: non basta dire «hanno trattato male i miei dati». Occorre documentare le conseguenze — danno alla reputazione, al credito, alle relazioni, lo stato d’ansia o il discredito patito — e fornire elementi concreti da cui il giudice possa, anche in via presuntiva, desumere il pregiudizio e quantificarlo (se serve, in via equitativa ex art. 1226 c.c.). Il principio, nato sotto il vecchio Codice privacy, resta attuale anche nel quadro del GDPR, dove l’art. 82 richiede comunque un danno effettivo e un nesso causale. Approfondimenti nelle sezioni Codice della Privacy e GDPR.
Domande frequenti
Se i miei dati sono stati trattati illecitamente ho diritto automatico al risarcimento?
No. La Cassazione esclude il danno «in re ipsa»: l’illegittimità del trattamento non basta. Devi allegare e provare, anche per presunzioni, il pregiudizio concretamente subito.
Come si prova il danno se non è economico?
Attraverso presunzioni gravi, precise e concordanti: dalla natura dei dati, dalla loro diffusione, dalla durata e dalle ricadute concrete sulla vita personale e di relazione. Il danno deve comunque essere grave e serio, non un mero fastidio.
Chi deve provare che il titolare era in colpa?
Su questo l’onere si inverte: ex art. 2050 c.c. è il titolare del trattamento a dover dimostrare di aver adottato tutte le misure idonee a evitare il danno. Ma il danneggiato deve comunque provare il danno e il nesso causale.
Fonti
- Corte di Cassazione, sezione I civile, ordinanza 8 gennaio 2019, n. 207.
- Art. 15 del D.Lgs. 30 giugno 2003, n. 196 (Codice della privacy) e art. 2050 del codice civile; art. 82 del Reg. UE 2016/679 (GDPR).
Hai una domanda su questa sentenza?
Una segnalazione, un caso pratico o una richiesta di chiarimento: scrivici e ti rispondiamo via email.
Scrivici
Compila il modulo: ti risponderemo all'indirizzo che indichi. I campi con * sono obbligatori.
Per il testo normativo integrale e aggiornato consulta Normattiva.it.